Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Processeurs de transformation

Les processeurs de transformation modifient la structure des événements du journal en ajoutant, copiant, déplaçant ou supprimant des champs.

processeur add_entries

Ajoute des paires clé-valeur statiques pour enregistrer les événements. Il est possible d'ajouter au maximum un add_entries processeur à un pipeline.

Configuration

Configurez le processeur add_entries avec les paramètres suivants :

processor:
  - add_entries:
      entries:
        - key: "environment"
          value: "production"
          overwrite_if_key_exists: false

processeur copy_values

Copie les valeurs d'un champ vers un autre. Il est possible d'ajouter au maximum un copy_values processeur à un pipeline.

Configuration

Configurez le processeur copy_values avec les paramètres suivants :

processor:
  - copy_values:
      entries:
        - from_key: "user_id"
          to_key: "backup_user"
          overwrite_if_to_key_exists: false

processeur delete_entries

Supprime les champs spécifiés des événements du journal.

Configuration

Configurez le processeur delete_entries avec les paramètres suivants :

processor:
  - delete_entries:
      with_keys: ["temp_field", "debug_info"]

processeur move_keys

Déplace les champs d'un emplacement à un autre.

Configuration

Configurez le processeur move_keys avec les paramètres suivants :

processor:
  - move_keys:
      entries:
        - from_key: "old_field"
          to_key: "new_field"
          overwrite_if_to_key_exists: true

aplatir le processeur

Aplatit les structures d'objets imbriqués.

Configuration

Configurez le processeur aplatir avec les paramètres suivants :

processor:
  - flatten:
      source: "metadata"
      target: "flattened"
      remove_processed_fields: true
      exclude_keys: ["sensitive_data"]

processeur de recherche

Enrichie les événements du journal avec les données d'une table de recherche CloudWatch des journaux. Le processeur compare les champs de vos événements de journal aux champs de la table de recherche et ajoute des champs spécifiés à vos événements de journal. Utilisez ce processeur pour des scénarios d'enrichissement des données tels que le mappage des identifiants utilisateur avec les détails de l'utilisateur, des codes produits avec des informations sur les produits ou des codes d'erreur avec des descriptions d'erreurs. Il est possible d'ajouter au maximum un lookup processeur à un pipeline.

Configuration

Configurez le processeur de recherche avec les paramètres suivants :

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:my_lookup_table"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
          overwrite_if_exists: true

Exemple

Imaginons une table de recherche nommée network_assets avec les lignes suivantes :

Compte tenu de l'événement de journal suivant :

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048
}

Et la configuration de processeur suivante :

processor:
  - lookup:
      lookup_table: "arn:aws:logs:us-east-1:123456789012:lookup-table:network_assets"
      match_keys:
        - log_key: "src_ip"
          lookup_key: "ip_address"
      entries:
        - source: "hostname"
          target: "src_hostname"
        - source: "owner"
        - source: "location"
          target: "src_region"
          overwrite_if_exists: false

Le processeur produit l'événement de journal enrichi suivant :

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "10.0.2.45",
  "action": "connection_opened",
  "bytes": 2048,
  "src_hostname": "db-server-03",
  "owner": "team-beta",
  "src_region": "us-west-2"
}

Autorisations IAM

Lorsqu'un pipeline utilise le processeur de recherche, le rôle d'exécution du pipeline doit inclure logs:GetLookupTable l'autorisation pour la table référencée. L'exemple de déclaration de politique suivant accorde cette autorisation :

{
  "Effect": "Allow",
  "Action": "logs:GetLookupTable",
  "Resource": "arn:aws:logs:<region>:<account-id>:lookup-table:<table-name>"
}

processeur GeoIP

Le processeur GeoIP enrichit les événements du journal avec des données de localisation géographique basées sur les adresses IP. Le processeur utilise des MaxMind bases de données pour convertir les adresses IP en informations géographiques telles que la ville, le pays, le continent, les coordonnées et les détails du numéro de système autonome (ASN). Utilisez ce processeur pour l'analyse du trafic réseau, l'enrichissement de la localisation des utilisateurs et les scénarios d'investigation de sécurité.

Configuration

Configurez le processeur GeoIP avec les paramètres suivants :

processor:
  - geoip:
      entries:
        - source: "client_ip"
          target: "client_geo"
          include_fields:
            - "city_name"
            - "country_name"
            - "country_iso_code"
            - "continent_name"
            - "latitude"
            - "longitude"
          when: '.client_ip != "127.0.0.1"'

Exemple

L'exemple suivant montre un exemple d'événement de journal avec des champs d'adresse IP :

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "203.0.113.50",
  "dst_ip": "198.51.100.25",
  "action": "ALLOW",
  "bytes": 4096
}

La configuration de processeur suivante fait correspondre les champs IP source et de destination aux cibles d'enrichissement géographique :

processor:
  - geoip:
      entries:
        - source: "src_ip"
          target: "src_geo"
          include_fields:
            - "city_name"
            - "country_name"
            - "country_iso_code"
            - "latitude"
            - "longitude"
            - "asn"
            - "asn_organization"
        - source: "dst_ip"
          target: "dst_geo"
          include_fields:
            - "country_name"
            - "country_iso_code"

Le processeur produit l'événement de journal enrichi suivant :

{
  "timestamp": "2026-05-04T12:00:00Z",
  "src_ip": "203.0.113.50",
  "dst_ip": "198.51.100.25",
  "action": "ALLOW",
  "bytes": 4096,
  "src_geo": {
    "city_name": "Seattle",
    "country_name": "United States",
    "country_iso_code": "US",
    "latitude": 47.6062,
    "longitude": -122.3321,
    "asn": 16509,
    "asn_organization": "Amazon.com, Inc."
  },
  "dst_geo": {
    "country_name": "Germany",
    "country_iso_code": "DE"
  }
}